Artigo 40.º — Normas harmonizadas e resultados de normalização (Lei da IA da UE)

Artigo 40.º do Regulamento (UE) 2024/1689 — Normas harmonizadas e resultados de normalização. Texto oficial, interpretação prática, obrigações principais e implicações de conformidade.

Resumo do Texto Oficial

O artigo 40.º do Regulamento (UE) 2024/1689 estabelece o papel das normas harmonizadas na demonstração de conformidade com os requisitos aplicáveis aos sistemas de IA de alto risco ao abrigo da Lei da IA da UE. Quando os fornecedores de sistemas de IA de alto risco aplicam normas harmonizadas — ou partes relevantes das mesmas — cujas referências tenham sido publicadas no Jornal Oficial da União Europeia, presume-se que esses sistemas estão em conformidade com os requisitos do Título III, Capítulo 3, na medida em que esses requisitos sejam abrangidos pelas normas harmonizadas aplicáveis.

O artigo habilita a Comissão Europeia a emitir pedidos de normalização às organizações europeias de normalização (CEN, CENELEC e ETSI), em conformidade com o Regulamento (UE) n.º 1025/2012 relativo à normalização europeia. Estes pedidos dirigem as OEN a desenvolver normas harmonizadas que operacionalizem os requisitos substantivos do Regulamento.

O artigo 40.º aborda igualmente situações em que as normas harmonizadas ainda não existem ou as suas referências ainda não foram publicadas. Nesses casos, a Comissão pode adotar especificações comuns ao abrigo do artigo 41.º, assegurando que os fornecedores disponham de um percurso técnico definido para demonstrar a conformidade, mesmo na ausência de normas harmonizadas formais.

A disposição estabelece uma distinção clara entre a aplicação voluntária de normas e a conformidade obrigatória com os requisitos legais subjacentes. A aplicação de uma norma harmonizada não é obrigatória, mas proporciona uma presunção ilidível de conformidade, reduzindo o ónus probatório sobre os fornecedores durante os procedimentos de avaliação de conformidade realizados ao abrigo dos artigos 43.º e 44.º.

O Que Isto Significa na Prática

Para os fornecedores de sistemas de IA de alto risco, o artigo 40.º é um instrumento central de conformidade. Em vez de construir um argumento técnico inteiramente personalizado sobre como cada requisito legal é satisfeito, os fornecedores podem alinhar os seus sistemas com as normas harmonizadas publicadas e beneficiar da presunção de conformidade. Isto simplifica significativamente o processo de avaliação de conformidade, em especial para os sistemas sujeitos a avaliação por terceiros por organismos notificados.

Na prática, um fornecedor que desenvolva um dispositivo médico baseado em IA abrangido pelo Anexo I do Regulamento consultaria o Jornal Oficial para identificar quais as normas harmonizadas publicadas para os requisitos relevantes — por exemplo, normas que abordam a gestão de riscos, a qualidade dos dados ou a cibersegurança. A implementação dessas normas como parte do processo de conceção e gestão da qualidade do sistema permite ao fornecedor afirmar a conformidade com os artigos correspondentes do Regulamento, sem exigir que o organismo notificado verifique a conformidade de forma independente a partir dos princípios fundamentais.

Para os fornecedores que optam por não aplicar normas harmonizadas — ou onde ainda não existe nenhuma norma aplicável — o ónus recai sobre eles para documentar, através de ficheiros técnicos e evidências de avaliação de conformidade, como é alcançado o nível equivalente de proteção. Este é um caminho viável, mas mais exigente, que requer um envolvimento próximo com o organismo notificado e, potencialmente, testes e documentação mais extensos.

Os importadores e utilizadores devem verificar que os fornecedores cujos sistemas colocam no mercado ou põem em serviço identificaram e aplicaram corretamente as normas relevantes, uma vez que tal afeta a validade da declaração UE de conformidade e a marcação CE.

O impacto prático do artigo 40.º crescerá progressivamente à medida que o processo de normalização amadurecer. No início da aplicação do Regulamento, estarão disponíveis normas harmonizadas limitadas, conferindo maior relevo às especificações comuns e às avaliações técnicas personalizadas.

Obrigações Principais

• Identificar as normas harmonizadas aplicáveis: Os fornecedores de sistemas de IA de alto risco devem monitorizar o Jornal Oficial da União Europeia para identificar as referências publicadas às normas harmonizadas relevantes para o seu sistema e os requisitos ao abrigo do Título III, Capítulo 3.
• Aplicar as normas para acionar a presunção de conformidade: Quando um fornecedor opta por invocar a presunção de conformidade, a norma harmonizada deve ser aplicada na íntegra para os requisitos que abrange; a aplicação parcial não estende a presunção aos elementos não abrangidos.
• Documentar a aplicação das normas na documentação técnica: A documentação técnica exigida ao abrigo do artigo 11.º e do Anexo IV deve identificar claramente quais as normas harmonizadas que foram aplicadas e como se mapeiam nos requisitos legais correspondentes.
• Resolver lacunas onde as normas não existem: Quando nenhuma norma harmonizada abrange um requisito específico, os fornecedores devem demonstrar a conformidade através de meios alternativos, incluindo especificações comuns adotadas ao abrigo do artigo 41.º ou evidências técnicas independentes, e devem documentar esta abordagem no seu processo de avaliação de conformidade.
• Manter a consciência sobre normas atualizadas ou retiradas: Quando uma norma harmonizada é revista ou a sua referência é retirada do Jornal Oficial, os fornecedores devem avaliar se a sua documentação de conformidade existente continua válida e atualizar os seus sistemas e ficheiros técnicos em conformidade.
• Participar nos processos de normalização: Os fornecedores, em especial os de setores com aplicações de IA em rápida evolução, devem envolver-se com os organismos de normalização relevantes e os grupos de trabalho do setor para garantir que as normas emergentes reflitam a prática técnica do mundo real e apoiem percursos de conformidade significativos.

Relação com Outros Artigos

O artigo 40.º funciona como a ponte processual entre os requisitos substantivos do Título III, Capítulo 3 (artigos 9.º a 15.º e 17.º) e os procedimentos de avaliação de conformidade no Capítulo 5. Deve ser lido em conjunto com o artigo 41.º, que prevê especificações comuns adotadas pela Comissão como alternativa quando as normas harmonizadas estão ausentes ou são insuficientes. O artigo 43.º rege os procedimentos de avaliação de conformidade em que é invocada a presunção criada pelo artigo 40.º, e o artigo 44.º abrange o papel dos organismos notificados nas avaliações por terceiros.

O artigo também se liga ao artigo 11.º e ao Anexo IV sobre documentação técnica, uma vez que as evidências de aplicação da norma devem constar do ficheiro técnico, e ao artigo 17.º sobre sistemas de gestão da qualidade, que devem incorporar processos para identificar e aplicar normas relevantes. O artigo 48.º, que abrange a declaração UE de conformidade, é o instrumento a jusante através do qual o fornecedor afirma formalmente a presunção de conformidade estabelecida ao abrigo do artigo 40.º. Para os fornecedores de modelos GPAI, a normalização é tratada separadamente ao abrigo do Título VIII; o artigo 40.º aplica-se especificamente aos sistemas de IA de alto risco ao abrigo do Título III.

Calendário de Conformidade

O artigo 40.º entrou em vigor em 1 de agosto de 2024, data em que a Lei da IA da UE foi publicada no Jornal Oficial da União Europeia e se tornou direito vinculativo. No entanto, a sua aplicação prática está ligada à implementação faseada das obrigações:

• Agosto de 2024: O Regulamento entra em vigor; os mandatos de normalização ao CEN, CENELEC e ETSI têm início ou são acelerados.
• Fevereiro de 2025: As práticas de IA proibidas ao abrigo do artigo 5.º tornam-se aplicáveis; o artigo 40.º não está diretamente implicado nesta fase.
• Agosto de 2025: As obrigações relativas aos modelos GPAI ao abrigo do Título VIII tornam-se aplicáveis; o artigo 40.º permanece específico para os sistemas de IA de alto risco e não rege as normas GPAI.
• Dezembro de 2026: Os sistemas de IA de alto risco listados no Anexo III (que não os abrangidos pela legislação sobre produtos do Anexo I) devem cumprir os requisitos do Título III. Os fornecedores devem ter identificado e aplicado as normas harmonizadas relevantes até esta data; onde estejam disponíveis normas publicadas, as avaliações de conformidade que nelas se baseiem devem estar concluídas.
• Agosto de 2027: Os sistemas de IA de alto risco integrados em produtos regulados pela legislação setorial do Anexo I (dispositivos médicos, máquinas, aviação, etc.) devem cumprir os requisitos. Espera-se que a cobertura completa das normas harmonizadas esteja mais desenvolvida até esta data, embora os fornecedores não devam presumir uma cobertura completa e devam planear para eventuais lacunas.

Os fornecedores são fortemente aconselhados a monitorizar os pedidos de normalização da Comissão e os programas de trabalho do CEN-CENELEC JTC 21 (o comité técnico conjunto para a normalização da IA), a fim de antecipar quais as normas que estarão disponíveis e quando, permitindo planear os calendários de conformidade em conformidade.